SNS 연령 제한, 10대 5명 중 4명이 뚫었다

형제 얼굴을 빌려 얼굴 인증을 통과한다. 펜으로 턱에 수염을 그려 넣기도 한다. SNS 연령 제한을 피하려고 10대들이 실제로 쓴 방법이다.

결과는 숫자로도 나왔다. 호주에서 나온 한 연구에서 16세 미만 10대 5명 중 4명이 금지 대상 플랫폼에 결국 들어갔다. 5명 중 4명이면 몇몇이 빠져나간 정도로 볼 수 없다. 제한이 대다수에게 통하지 않았다는 쪽에 가깝다.

다른 나라도 사정이 매끄럽지 않다.

• 호주: 16세 미만 금지 이후, 한 연구에서 5명 중 4명이 금지 대상 플랫폼에 접속
• 프랑스: 15세 미만 금지를 추진했지만 최고 법원이 인권 침해를 이유로 막음
• 영국: 16세 미만 금지 계획 발표
• EU: 15세 미만 금지 계획 발표

문을 닫겠다는 방향은 나라마다 같다. 그런데 그 문이 생각보다 잘 안 닫힌다. 프랑스는 기술보다 법정이 먼저 막아선 경우다.

MIT 테크놀로지 리뷰에 실린 한 기고는 이 우회를 ‘없애야 할 골칫거리’가 아니라 ‘제도의 한계를 보여 주는 신호’로 읽는다. 이 글도 그 시각을 따라 세 가지를 짚는다.

• 연령 확인은 실제로 어떻게 작동하나
• 왜 세게 막을수록 모두의 개인정보가 위험해지나
• 금지 대신 집에서 직접 걸어 둘 설정은 뭐가 있나

연령 확인 세 갈래, 정확할수록 더 많이 넘긴다

플랫폼이 ‘몇 살이야?’를 확인하는 방법은 크게 세 갈래다.

활동 추적. 이용자가 뭘 보고, 누구와, 어떻게 소통하는지를 자동으로 분석해 나이를 추론한다. 나이를 알아내는 과정 자체가 프로파일링이다. 이렇게 모아 둔 데이터는 나중에 오용되거나 유출될 위험을 고스란히 안고 간다.

신분증 제출. 운전면허증 같은 신분증을 받는다. 셋 중 가장 확실해 보이는 방식. 대신 민감한 서류가 회사나 외주 업체 서버로 넘어간다.

얼굴 확인. 카메라에 얼굴을 비춰 나이를 가늠한다. 앞에서 말한 형제 얼굴 빌리기와 가짜 수염 그리기가 노린 게 바로 이 방식이다.

여기에 하나가 더 얹힌다. 아이들이 VPN으로 지역 제한을 피하니, VPN 이용에도 연령 확인을 걸자는 움직임이다. 네 가지를 표 하나로 놓고 보면 이렇다.

확인 방식	플랫폼에 넘어가는 정보	드러난 약점
활동 추적 기반 추정	온라인 활동 기록 전반	이용자 프로파일링, 수집 데이터의 오용·유출 위험
신분증 제출	운전면허증 등 정부 발급 신분증 이미지	외주 업체가 뚫리면 대량 유출(디스코드 사례: 최소 7만 장), 신원 도용
얼굴 확인	얼굴 이미지	형제 얼굴 빌리기, 가짜 수염 그리기로 우회
VPN 이용 시 연령 확인	VPN 이용자의 신원·나이 증명	익명성이라는 VPN의 존재 목적과 충돌, 기자·인권 활동가 감시 위험

표에서 가운데 열과 오른쪽 열은 같이 움직인다. 확인이 정확해지려면 더 많은 정보를 넘겨야 하고, 넘긴 정보는 그대로 새 위험이 된다. 빈틈없는 연령 확인과 안전한 개인정보. 확인 강도와 노출이 함께 올라가는 구조에서 이 둘을 한꺼번에 손에 쥐기는 어렵다.

디스코드 신분증 7만 장 노출, 성인도 같은 값을 치른다

강화론의 논리는 단순하다. 뚫리니까 더 세게 막자는 것. 그런데 그 비용을 아이들만 내지는 않는다. 성인도 나이를 증명하려면 똑같이 신분증을 올리거나 얼굴을 찍어야 한다.

사고는 이미 났다. 디스코드는 연령 확인에 쓰던 외부 업체 5CA가 침해당해 정부 발급 신분증 이미지가 최소 7만 장 노출됐다고 밝혔다. 이 사건에서 뚫린 곳은 디스코드 본체가 아니라 외주 업체였다. 눈여겨볼 대목은 이쪽이다.

신분증 이미지가 계정과 연결되면 그 계정의 사적인 온라인 활동까지 실명으로 묶인다. 기고자들은 이렇게 되면 정치 성향이나 성적 지향처럼 숨기고 싶은 정보까지 드러난다고 경고한다. 보안 용어로 옮기면 공격 표면이 넓어지는 전형적인 경우다. 서비스 본체를 아무리 단단히 지켜도 신분증을 처리하는 업체 한 곳이 무너지면 소용이 없다.

VPN 쪽은 문제가 더 근본적이다.

• 미국 미시간주와 유타주의 연령 확인 법안은 VPN의 개인정보 보호 기능에 손을 대려 했다. 유타 법안은 연방 법원에서 효력이 막혔다.
• 호주의 eSafety 커미셔너는 플랫폼이 VPN 사용을 감지해 차단하도록 유도하는 입장이다.

VPN에 들어가려고 신원부터 증명해야 한다면 그 VPN은 익명성을 지켜 준다는 존재 이유를 잃는다. 민감한 주제를 다루는 기자나 인권 활동가에게는 정부 감시와 보복 위험으로 곧장 이어진다. 아이를 막으려던 장치가 전혀 다른 사람들의 안전을 건드리는 셈이다.

막힌 아이들은 지켜보는 눈이 적은 곳으로 간다

연령 제한이 화면 앞 시간이라도 줄여 줬다면 할 말이 있었을 거다. 호주 금지 이후 나온 예비 연구 결과는 그렇지 않았다. 아이들의 스크린 타임은 의미 있게 줄지 않았다. 일부는 부모가 모르는 관리 사각지대로 옮겨 갔다.

옮겨 간 곳이 전부 위험하지는 않다. 구글 문서에서 친구들과 대화하거나 팟캐스트 댓글 창에서 수다를 떠는 정도면 무해하다. 이야기가 달라지는 건 관리 인력이 부족하거나 사람이 빠져나가는 플랫폼이다.

기고자들은 이걸 도시에 빗댄다. 북적이는 거리보다 텅 빈 골목이 위험하다. 지켜보는 눈이 적은 플랫폼일수록 취약한 청소년과 그들을 노리는 사람이 함께 모인다는 얘기다. 금지가 아이들을 온라인 밖으로 데려가는 대신 더 한산한 골목으로 밀어 넣는다면, 보호라는 애초 목적과는 반대 방향이다.

부모의 태도도 변수다. 기고자들이 만난 부모들은 꼭 필요한데 나이 제한이 걸린 서비스에 자녀가 들어가도록 함께 나이를 속여 주는 일이 많다고 답했다. 새삼스러운 일도 아니다. 페이스북 초창기 연구에서도 부모가 자녀에게 연령 제한 피하는 법을 가르친 사례가 이미 보고됐다.

무관심해서 그러는 게 아니다. 부모들이 저울에 올린 이점은 이렇다.

• 관심사가 비슷한 또래를 만난다
• 필요한 정보를 찾는다
• 디지털 안전 감각을 일찍 익힌다

이 이점이 위험보다 크다고 본 것이다. 다만 놓치기 쉬운 비용이 하나 있다. 나이를 속여 가입하면, 플랫폼이 미성년자 계정에 따로 걸어 두는 보호 기본값이 있더라도 그것까지 같이 빠진다.

아이폰·안드로이드에서 직접 거는 자녀 보호 설정

기고자들이 내놓는 대안은 둘이다. 기업의 데이터 수집을 제한하는 것, 그리고 가족이 스스로 콘텐츠와 접근을 조절하는 유연한 도구. 앞의 것은 법과 정책이 움직여야 하는 일이다. 손에 쥔 도구부터 보자.

아래 경로는 기본 화면 기준이다. 제조사 스킨이나 OS 버전에 따라 한두 단계가 어긋나기도 한다.

아이폰

• SNS 사용 시간 제한: 설정 → 스크린 타임 → 앱 시간 제한 → 제한 추가 → ‘소셜’ 카테고리 선택(이전 버전은 ‘소셜 네트워킹’) → 하루 허용 시간 지정
• 취침 시간 차단: 설정 → 스크린 타임 → 다운타임 → 시작·종료 시간 지정
• 연령 등급 넘는 앱 설치 막기: 설정 → 스크린 타임 → 콘텐츠 및 개인정보 보호 제한 켜기 → 콘텐츠 제한(최신 버전은 ‘App Store, 미디어, 웹 및 게임’) → 앱 → 허용할 연령 등급 선택
• 부모 기기에서 원격 관리: 설정 → [내 이름] → 가족 공유(최신 버전은 설정 첫 화면의 ‘가족’인데, 이 단계는 확실하지 않다) → 자녀 이름 → 스크린 타임

안드로이드

• 보호자 연결: 부모 휴대폰에 구글 패밀리 링크 앱을 설치하고 자녀 구글 계정을 연결한다. 자녀 기기에서는 설정 → Google → 자녀 보호 기능에서 시작한다(최신 버전은 설정 → Google → 모든 서비스 → 자녀 보호 기능으로 보이는데, 이 경로는 확실하지 않다)
• 삼성 갤럭시: 설정 → 디지털 웰빙 및 자녀 보호 기능 → 자녀 보호 기능
• Play 스토어 연령 제한: Play 스토어 앱 → 오른쪽 위 프로필 아이콘 → 설정 → 가족 → 자녀 보호 설정 켜기 → 앱 및 게임 → 연령 등급 선택
• 앱별 하루 사용 시간: 패밀리 링크 앱 → 자녀 선택 → 제어 → 앱 한도(항목 이름은 확실하지 않다)

추적·맞춤 광고 줄이기

기고자들이 만난 부모와 10대는 거의 모두 기업의 데이터 사용을 제한하길 원했다. 맞춤 광고도, 오래 붙잡아 두는 기능도 결국 데이터로 굴러간다는 걸 알고 있어서다. 법이 바뀔 때까지 기다릴 이유는 없다. 기기에서 줄일 부분은 지금 줄여 두자.

• 아이폰: 설정 → 개인정보 보호 및 보안 → 추적 → ‘앱이 추적을 요청하도록 허용’ 끄기
• 아이폰: 설정 → 개인정보 보호 및 보안 → Apple 광고 → 맞춤형 광고 끄기
• 안드로이드: 설정 → 개인정보 보호(또는 보안 및 개인정보 보호 → 기타 개인정보 보호 설정) → 광고 → 광고 ID 삭제. 버전별 경로는 확실하지 않다

그런데 이 설정들도 아이가 마음먹으면 결국 뚫린다. 얼굴 인증이 수염 한 줄에 넘어간 것과 크게 다르지 않다. 그러니 설정을 대화의 대체품으로 쓰면 곤란하다. 대화를 여는 도구로 쓰는 게 맞다. 시간 제한을 걸 때도 아이와 같이 화면을 보면서 숫자를 정하면 우회할 이유부터 줄어든다.

해외 금지법, 한국 계정엔 바로 안 걸려도 살필 세 가지

선부터 긋자. 호주·프랑스·영국·EU의 금지 조치는 각 지역 이용자를 겨냥한다. 한국 계정에 곧바로 같은 나이 제한이 걸리지는 않는다. 달라지는 지점은 다른 데 있다.

• 신분증 인증 창을 만날 가능성(추측): 글로벌 플랫폼이 특정 국가용 연령 확인 시스템을 한번 구축하면 다른 지역 계정에도 그 시스템을 쓸 여지가 생긴다. 해외 서비스가 신분증이나 얼굴 인증을 요구하면 올리기 전에 세 가지부터 확인하자. 누가 처리하는지(외주 업체인지), 얼마나 보관하는지, 삭제를 요청할 방법이 있는지. 디스코드 사례처럼 유출은 본사가 아니라 외주 업체 쪽에서 터지기도 한다.
• 부모 명의 가입의 함정: 국내 서비스는 휴대폰 본인확인으로 나이를 확인하는 경우가 많다. 부모 명의로 인증하면 서비스는 아이를 성인으로 인식한다. 해외 부모들이 자녀와 함께 나이를 속이는 패턴이 국내에서는 명의 빌려주기 형태로 나타나는 것으로 보인다. 성인으로 잡힌 계정이니 미성년자 보호 기본값이 빠지는 문제도 그대로 따라온다.
• VPN 가입 절차 변화(추측): 해외에서 VPN 연령 확인 요구가 늘면 VPN 업체가 가입 절차를 바꿀 가능성이 있다. 업무나 보안 목적으로 VPN을 쓰는 국내 이용자에게도 영향이 미치는 부분이다.

확인된 것과 아직 불확실한 것

확인된 것

• 호주의 한 연구에서 16세 미만 10대 5명 중 4명이 금지 대상 플랫폼에 접속했다.
• 프랑스의 15세 미만 SNS 금지는 최고 법원이 인권을 이유로 막았다.
• 영국은 16세 미만, EU는 15세 미만 SNS 금지 계획을 내놨다.
• 디스코드가 쓰던 연령 확인 외주 업체 5CA가 침해당해 신분증 이미지가 최소 7만 장 노출됐다.
• VPN 보호 기능에 개입하려던 유타주 연령 확인 법안은 연방 법원에서 효력이 막혔다.
• 호주 금지 이후 예비 연구에서 아이들의 스크린 타임은 의미 있게 줄지 않았다.

아직 불확실한 것

• 영국과 EU 계획이 예고대로 시행될지, 어떤 연령 확인 방식을 쓸지
• 호주 금지 이후 아이들이 옮겨 간 플랫폼의 규모와 위험도(아직 예비 연구 단계)
• 미시간주 법안이 최종적으로 어떻게 처리될지
• 글로벌 플랫폼이 금지 국가 밖의 계정에도 연령 확인을 넓힐지

16세 생일까지 미뤄선 안 되는 대화

기고자들의 결론은 분명하다. 연령 제한은 디지털 육아를 쉽게 만들어 주지 않는다. 잘해야 곤란한 질문을 16세 생일로 미룰 뿐이다. 최악이면 아무 안내도 받지 못한 아이를 온라인에 혼자 내보내게 된다.

규칙을 뚫는 아이들을 보는 눈도 다르다. 호기심, 문제 해결, 독립성. 다른 데서라면 우리가 칭찬했을 능력이라는 게 그들의 시각이다. 형제 얼굴을 빌리고 턱에 수염을 그리는 발상도 그렇게 보면 꽤 그럴듯한 문제 해결이다.

집에서 할 일로 옮기면 이렇다.

• 아이가 어떤 앱을 쓰는지 서로 알고 있기
• 시간 제한은 함께 정하고, 이유를 설명하기
• 낯선 사람이 덜 알려진 앱으로 옮겨 대화하자고 하면 바로 알려 달라고 약속하기
• 어떤 서비스가 신분증이나 얼굴 사진을 요구하면 올리기 전에 같이 확인하기

아이가 규칙을 우회했다면 혼내기 전에 한 박자 쉬자. 규칙을 다시 이야기할 때가 됐다는 신호로 받아들이면 된다. 막는 기술은 금방 뚫린다. 그 대화는 훨씬 오래 간다.

출처: MIT Tech Review AI